Paquet typosquatte.

Paquet open source malveillant publie sous un nom tres proche d'une bibliotheque populaire pour que les developpeurs l'installent par erreur. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Paquet open source malveillant publie sous un nom tres proche d'une bibliotheque populaire pour que les developpeurs l'installent par erreur.

Les paquets typosquattes exploitent les habitudes d'autocompletion et de copier-coller des developpeurs. L'attaquant choisit une bibliotheque tres utilisee — react, lodash, requests, cross-env, urllib3 — et publie un paquet malveillant avec une variation minime dans le nom (crossenv vs cross-env, python3-dateutil vs python-dateutil) sur npm, PyPI, RubyGems ou NuGet. Quand un developpeur se trompe, copie une mauvaise documentation ou suit une suggestion d'IA, le paquet malveillant est installe et son code post-install ou d'import vole des tokens, installe des backdoors ou vide des portefeuilles crypto. Defenses: lockfiles, allow-lists, outils de revue de dependances (Socket, Snyk, GitHub Dependency Review), politiques CI strictes et protections de namespace cote registre.

Les défenses contre Paquet typosquatte combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Typosquatting de paquets, Attaque par confusion de noms.